Qubic heeft de blockchainoperaties hersteld na de diefstal van 2,94 biljoen QU uit 1.404 wallets, waarbij het Computor-quorum een herstelplan goedkeurde en de eerste gestolen middelen zijn teruggegeven aan geverifieerde eigenaren.

De update van 20 oktober markeert het herstel van het netwerk na een noodstop die werd veroorzaakt door een exploit met voorspelbare wallet recovery seeds. Getroffen middelen zijn verplaatst naar beveiligde escrow, terwijl een speciaal claimsplatform tot 1 mei 2027 terugbetalingsverzoeken accepteert. Het netwerk verwerkt weer transacties, al moeten gebruikers whose wallets met kwetsbare software zijn aangemaakt migreren naar nieuw beveiligde adressen.

Computor-quorum keurt herstel en netwertherstart goed

De Computors van Qubic coördineerden op 18 oktober een noodstop op tick 85.371.949, nadat aanvallers zwakke wallet seeds hadden misbruikt om tussen 23:42 UTC op 17 oktober en 01:26 UTC de volgende dag QU ter waarde van circa $1,3 miljoen over te dragen. Het project kondigde het herstel van het netwerk aan in een X-post.

De interventie maakte ongeveer 87,1% van de gestolen tokens op het netwerk onbeweeglijk. De resterende 12,9%, die was overgedragen aan cryptovalutabeurs MEXC, werd bevroren op de ontvangende rekening.

Omdat de zwakte zijn oorsprong vond in het genereren van wallet seeds en niet in het netwerkprotocol zelf, hing het herstel af van gecoördineerde netwerkactie om gestolen tokens te immobiliseren en, wat de naar de beurs overgebrachte deel betreft, van medewerking van de beurs — een illustratie dat de beveiliging van seed-aanmaak buiten het bere ligt van wat on-chain regels alleen kunnen beschermen.

Tijdens de shutdown werden kwetsbare bezittingen verplaatst naar beveiligde escrow-rekeningen, waardoor verdere ongeautoriseerde overdrachten werden voorkomen terwijl de Computors de herstelprocedure beoordeelden. Het quorum keurde vervolgens de herstelregelingen goed en autoriseerde de terugkeer van het netwerk naar normale operatie.

De eerste terugbetalingen hebben geverifieerde wallet-eigenaren bereikt, al is het totale uitgekeerde bedrag niet bekendgemaakt. Herstel blijft afhankelijk van eigendomsverificatie, en middelen bij MEXC volgen een apart proces dat afhangt van medewerking van de beurs en vereisten van wetshandhaving.

Walletversie 4.26.4 verhelpt zwakke seed-generatie

De exploit maakte gebruik van onvoldoende willekeur bij het genereren van wallet seeds, waardoor de aanvaller de private keys die aan kwetsbare adressen zijn gekoppeld kon reconstrueren. Wallets die zijn aangemaakt via browsers op iPhones en iPads, Safari op macOS en oudere versies van Qubic's iOS-applicatie waren bijzonder kwetsbaar.

Een securitypatch, ontwikkeld door kernbijdrager Joetom, verving JavaScripts onveilige Math.random()-implementatie door de cryptografisch veilige functie crypto.getRandomValues(). De fix is opgenomen in walletversie 4.26.4, die voorkomt dat de kwetsbare generatiemethode voor nieuw aangemaakte seeds wordt gebruikt.

Gebruikers die wallets via getroffen software hebben aangemaakt, moeten volledig nieuwe recovery seeds en adressen aanmaken in plaats van simpelweg hun bestaande wallets bij te werken. Qubic heeft geadviseerd om webwallet-identiteiten die vóór versie 4.26.4 zijn aangemaakt als mogelijk onveilig te beschouwen, zelfs als er geen ongeautoriseerde overdrachten hebben plaatsgevonden.

Voorspelbare recovery-credentials hebben elders in crypto aanzienlijke verliezen veroorzaakt. De eerdere Ill Bloom-walletfout betrof onvoldoende willekeur waardoor cryptovalutaadressen aan ongeautoriseerde toegang werden blootgesteld, wat illustreert waarom software-updates reeds gecompromitteerde recovery-credentials niet achteraf kunnen beveiligen. De parallel onderstreept waarom willekeur bij het aanmaken van sleutels wordt beschouwd als een fundamentele afhankelijkheid: zodra seeds voorspelbaar zijn, verlieren basale eigendomsbewijzen zoals handtekeningen hun betrouwbaarheid, omdat de aanvaller die ook kan produceren.

Recoveryclaims open tot mei 2027

Getroffen gebruikers kunnen verzoeken indienen via Qubic's officiële herstelplatform, dat het openbare adres van de gecompromitteerde wallet, een nieuw gegenereerd beveiligd doeladres en bewijs van legitiem eigendom vereist.

Aanvragers moeten een verificatiebericht ondertekenen met hun getroffen identiteit maar handtekeningen alleen zijn onvoldoende omdat de aanvaller mogelijk dezelfde gecompromitteerde private keys bezit. Acceptabel ondersteunend bewijs omvat beursopnamebonnen, eerdere financieringsgegevens, OTC-transactiebevestigingen en handtekeningen van niet-getroffen adressen die aan de oorspronkelijke wallet zijn gekoppeld.

Het herstelproces scheidt eenvoudige, onbetwiste claims van gevallen die aanvullende beoordeling door ontwikkelaars vereisen. Goedgekeurde claims ondergaan een betwistingsperiode van zeven dagen vóór uitbetaling, terwijl concurrerende eigendomsclaims bevroren blijven tot deze zijn opgelost.

Optionele identiteitsverificatie is beschikbaar via Didit, al zijn gebruikers niet verplicht deze te voltooien. Het herstelplatform vraagt geen wallet recovery seeds op en brengt geen terugbetalingskosten in rekening.

De herstelregelingen dekken ook middelen in getroffen smart-contractposities, waaronder bepaalde QEA-bezittingen. Nu het claimvenster open is tot 1 mei 2027, zijn ontwikkelingen om in de gaten te houden onder andere het tempo van geverifieerde terugbetalingen, de afhandeling van betwiste claims na elke betwistingsperiode van zeven dagen, en de door MEXC bevroren 12,9%, die afhangt van medewerking van de beurs en vereisten van wetshandhaving.